Annuncio di AFX sul Piano di Buona Volontà
AFX ha annunciato di aver predisposto un piano di buona volontà per gli utenti colpiti dall’exploit del bridge da 24,15 milioni di dollari avvenuto la scorsa settimana, con la proposta di recupero programmata per essere rilasciata il 3 agosto. Secondo un comunicato condiviso da AFX, il protocollo decentralizzato di derivati sta finalizzando un piano di buona volontà dopo l’incidente di sicurezza del 22 luglio e pubblicherà i dettagli lunedì 3 agosto.
Dettagli dell’Incidente di Sicurezza
Il team ha dichiarato che investitori, dipendenti e primi sostenitori sono stati tutti colpiti dall’attacco e ha chiesto alla comunità di rimanere paziente mentre completa la proposta finale.
“Vogliamo condividere un breve aggiornamento con la comunità. Un piano di buona volontà è attualmente in fase di elaborazione dopo il recente incidente di sicurezza e sarà svelato lunedì 3 agosto. Gli investitori di AFX, il team e i primi sostenitori sono tutti profondamente colpiti dalla situazione, quindi vi preghiamo di avere pazienza…”
L’aggiornamento arriva dopo che AFX ha completato la sua indagine tecnica sull’exploit, che ha portato al furto di circa 24,15 milioni di USDC da un bridge di custodia gestito da AFX. Il protocollo non ha ancora rivelato come sarà strutturata la compensazione o il recupero, ma ha affermato che il suo prossimo annuncio si concentrerà sul piano di buona volontà.
Indagini e Scoperte
Dichiarazioni pubbliche precedenti hanno confermato che l’exploit ha preso di mira l’infrastruttura gestita da AFX piuttosto che il bridge nativo di Arbitrum. La società di sicurezza blockchain Blockaid e il team di Arbitrum hanno indagato sull’incidente, mentre il co-fondatore di Offchain Labs, Steven Goldfeder, ha affermato che la transazione sospetta proveniva da un protocollo di terze parti anziché dal bridge principale di Arbitrum.
In un dettagliato post-mortem rilasciato dopo l’incidente, AFX ha dichiarato che la violazione è derivata da una campagna di ingegneria sociale contro uno dei suoi sviluppatori, piuttosto che da una vulnerabilità nei suoi smart contract o nell’infrastruttura blockchain. Secondo il protocollo, l’attaccante si è spacciato per un reclutatore di una società chiamata Oddium Lab il 9 luglio e ha convinto lo sviluppatore a clonare quello che sembrava essere un repository software legittimo.
Meccanismi dell’Attacco
AFX ha dichiarato che il repository conteneva una configurazione Git malevola che eseguiva un payload nascosto durante un flusso di lavoro Git di routine, dando all’attaccante un accesso iniziale all’interno della workstation dello sviluppatore. Utilizzando il dispositivo compromesso, l’attaccante ha gradualmente ampliato l’accesso ai sistemi di sviluppo interni prima di scaricare il codice sorgente del progetto diversi giorni dopo.
L’indagine ha rivelato che l’attaccante ha successivamente caricato un plugin Groovy malevolo nel repository di artefatti JFrog del protocollo, ottenendo l’esecuzione di codice remoto all’interno dell’ambiente di consegna del software. Secondo AFX, eventi ripetuti di esaurimento della memoria sul server JFrog sono stati inizialmente trattati come problemi operativi, consentendo al plugin malevolo di sopravvivere a più riavvii senza attivare una risposta di sicurezza.
Risultati dell’Indagine
Il protocollo ha dichiarato che l’attaccante alla fine si è spostato dall’ambiente di sviluppo compromesso nella sua infrastruttura operativa utilizzando un servizio di gestione interno basato su Ansible che aveva già accesso privilegiato ai nodi validatori. Piuttosto che rubare nuove credenziali o sfruttare un servizio esterno, l’attaccante ha utilizzato relazioni di fiducia esistenti per distribuire payload malevoli su un sottoinsieme di validatori.
Alle 21:27 UTC del 22 luglio, i validatori colpiti hanno co-firmato una transazione di bridge che ha trasferito circa 24,15 milioni di USDC dal bridge di custodia gestito da AFX. Il protocollo ha dichiarato che la sua indagine non ha trovato prove che la rete Arbitrum o il bridge nativo di Arbitrum fossero stati compromessi.
Conclusioni e Prossimi Passi
Il rapporto ha dichiarato che il protocollo ha ricostruito l’infrastruttura colpita, ruotato le credenziali operative, aumentato la sensibilità del monitoraggio e migrato i sistemi di produzione in un ambiente più isolato con segmentazione a zero fiducia. Ulteriori lavori pianificati nei prossimi mesi includono un monitoraggio comportamentale più forte, revisioni di sicurezza obbligatorie prima di riavviare i servizi di produzione, esercizi di caccia alle minacce ampliati e formazione dei dipendenti contro attacchi di ingegneria sociale.
Sulla base delle prove forensi, delle tecniche di attacco e dell’infrastruttura osservata durante l’indagine, AFX ha dichiarato che le sue scoperte sono coerenti con l’attribuzione indipendente che collega l’incidente a UNC4899, noto anche come TraderTraitor, un gruppo di minacce legato alla DPRK tracciato da Mandiant, Microsoft Threat Intelligence, l’FBI e CISA.
Il protocollo ha dichiarato che continua a lavorare con partner di sicurezza esterni per rintracciare gli asset rubati e supportare gli sforzi di risposta in corso. Le ultime scoperte si aggiungono a una serie di incidenti in cui i protocolli hanno concluso che gli attaccanti hanno compromesso l’infrastruttura di supporto invece di sfruttare le vulnerabilità negli smart contract.
